窃密木马 Vidar 通过 Google 的恶意广告传播

最近，安全研究员注意到通过谷歌上的恶意广告进行传播的攻击有所增加，这些攻击旨在部署信息窃密程序。当在谷歌上检索 Notepad++、Zoom、AnyDesk、Foxit、Photoshop 等流行工具时，就有可能遇到恶意广告。

攻击活动

2023 年 1 月 25 日，DarkTrace 的研究人员发现在美国境内搜索 Notepad++ 时，谷歌显示了如下的广告：

下图可以看到，该广告没有关于发布者的可见信息：

点击广告后会跳转至虚假网站，该域名（notepadplusplus.site）于 1 月 4 日注册，选择需要的软件版本后即可下载：

无论选择下载什么版本的软件，都会从 https://download-notepad-plus-plus.duckdns.org/ 下载名为 npp.Installer.x64.zip 的 .zip 文件。

该文件多达 684.1MB，其中有大量空字节。以此防止文件被上传到分析平台，例如 VirusTotal 的最大文件限制为 650MB。

最初填充的零字节位于末尾，但该文件位于文件的中心。

执行后，恶意软件立即建立与 Telegram 的连接来获取 C&C 服务器的地址。如果 Telegram 不可用，将会尝试连接到 Steam 上的配置文件。下载 get.zip 文件，该压缩包中包含多个合法 DLL 文件，用于从各种应用程序和浏览器宏提取各种信息。

同类攻击

分发恶意软件的域名 download-notepad-plus-plus.duckdns.org 解析的 IP 地址，通过 Passive DNS 可以发现多个域名也解析到该 IP 地址。攻击者利用许多广告发起了针对性的攻击，例如：

OBS Studio

Davinci Resolve

Sqlite

Rufus

Krita

发现的所有样本都连接到相同的 Telegram 频道，共享 C&C 服务器地址。

结论

网络犯罪分子越来越愿意利用恶意广告来传播恶意软件，由于恶意广告更加难以防范。建议在搜索引擎上检索软件时尽量不要点击任何广告，只在官方来源进行下载。